Die Herausforderung: Transparenz über Open-Source-Pakete gewinnen
ROLLER bietet eine cloudbasierte Plattform, mit der Freizeit- und Unterhaltungsunternehmen effizienter arbeiten und ihren Gästen bessere Erlebnisse bieten können. Dazu gehören Funktionen für den Point of Sale, Buchungs- und Eventmanagement, Kundenbeziehungsmanagement und vieles mehr.
Mit der Weiterentwicklung der ROLLER-Plattform nahm die Nutzung von Open-Source-Abhängigkeiten in mehr als einem Dutzend Microservices und Unteranwendungen rasch zu. Das Unternehmen erkannte, dass ein schlanker Sicherheitsprozess erforderlich war, um Pakete mit Schwachstellen zu prüfen und zu ersetzen.
„Bei einem schnell wachsenden Unternehmen steigt die Anzahl der Pakete und Open-Source-Software, die zur Erreichung der Ziele eingesetzt werden“, erklärte Sean Fernandez, CIO bei ROLLER. „Es wurde ziemlich schwierig, einfach auf ein Dashboard zu schauen und zu fragen: ‚Wo sind unsere Schwachstellen und worauf sollten wir uns konzentrieren?‘“
Die Lösung: Automatisierte Prüfung von Abhängigkeiten mit Snyk
Als ROLLER nach einer Möglichkeit suchte, das Management von Open-Source-Schwachstellen zu optimieren, war die Automatisierung des Prozesses entscheidend. Mit der Einführung von Snyk Open Source konnte ROLLER die Prüfung von Abhängigkeiten in seine Continuous-Integration- und Continuous-Delivery-Pipeline (CI/CD) integrieren. Den Anfang machte eine Verbindung zu Bitbucket Cloud.
„Es gab Pakete, die schon seit Jahren existierten und möglicherweise nicht aktualisiert worden waren“, erklärte Fernandez. „Wir wollten wissen, ob sie anfällig waren und ob sich der Aufwand für ein Upgrade lohnte.“
Darüber hinaus war die Snyk Intel Vulnerability Database für das Entwicklungsteam von ROLLER von unschätzbarem Wert. Die vom Security-Research-Team von Snyk kuratierte Datenbank bietet angereicherte Schwachstellendaten aus zahlreichen öffentlichen Datenbanken. Noch wichtiger: Die Datenbank von Snyk erleichtert es Entwicklern und anderen Fachkräften ohne Sicherheitsschwerpunkt, die Funktionsweise konkreter Exploits und mögliche Abhilfemaßnahmen zu verstehen.
„Wir sind alle sehr technisch versiert, aber keine Sicherheitsspezialisten“, sagte Fernandez. „Uns gefällt, dass die Informationen zu Schwachstellen in einfacher Markdown-Sprache bereitgestellt werden, sodass Sie genau sehen können, wie der Exploit funktioniert.“
PCI-Compliance-Anforderungen vereinfachen
Um die Sicherheitsstandards der Payment Card Industry (PCI) einzuhalten, müssen Unternehmen nachweisen, dass sie die Sicherheit ihrer Zahlungssoftware während ihres gesamten Lebenszyklus verwalten. Snyk half ROLLER außerdem dabei, diese PCI-Compliance-Anforderungen an Sicherheitskontrollen für Pakete von Drittanbietern durch die Automatisierung des Prozesses zu erfüllen.
„Selbst bei einem kleinen Projekt mit 16 Paketen müsste man jedes einzelne Open-Source-Paket auf Probleme prüfen“, erklärte Fernandez. „Es war viel einfacher, Snyk die Pakete scannen zu lassen.“
Die Auswirkungen: Sicherheitsniveau der Cloud-Plattform verbessern
Seit der Einführung von Snyk konnte ROLLER schwerwiegende Schwachstellen um fast 80 % reduzieren. Außerdem prüfen die Entwickler des Unternehmens Open-Source-Pakete jetzt sorgfältiger, da sie wissen, dass Snyk neue Schwachstellen in Abhängigkeiten erkennt, die sie in die Codebasis einführen.
„Snyk vermittelt allen Entwicklern eine grundlegende Vorstellung davon, was Sicherheit bedeutet“, sagte Fernandez. „Wenn sie sich ein Paket im Internet ansehen, das sich noch in der Beta-Phase befindet oder Beschwerden aufweist, wird Snyk es nicht freigeben. Deshalb denken die Entwickler inzwischen proaktiver über Sicherheit nach.“
Während sich die Plattform von ROLLER weiterentwickelt, setzt das Entwicklungsteam des Unternehmens zunehmend auf einen vorausschauenden Ansatz, bei dem sicheres Entwickeln genauso wichtig ist wie die schnelle Bereitstellung neuer Funktionen. ROLLER hat ein Sicherheitsniveau erreicht, mit dem das Unternehmen zufrieden ist. Als Nächstes möchte es die neue Kategorie kritischer Schwachstellen angehen, die Snyk kürzlich eingeführt hat. Durch die Beseitigung der von Snyk als kritisch eingestuften Schwachstellen kann ROLLER das Risikoprofil seiner Plattform unmittelbar verbessern.
„Wenn wir während des Prüfprozesses mit Kunden gesprochen haben, waren sie oft überrascht, dass das, was wir mit Snyk machen, überhaupt möglich ist“, erklärte Fernandez. „Meistens machen sie sich Notizen dazu, wie sie das auch in ihrem eigenen System umsetzen können.“